Serie Generale n. 152 del 1-7-2022
DECRETI, DELIBERE E ORDINANZE MINISTERIALI
MINISTERO DELL'ECONOMIA E DELLE FINANZE
MINISTERO DELL'ECONOMIA E DELLE FINANZE
DECRETO 28 giugno 2022
Attuazione dell'articolo 1, comma 683, della legge 27 dicembre 2019, n. 160, relativo al trattamento dei dati contenuti nell'archivio dei rapporti finanziari di cui al comma 682 del medesimo articolo 1. (22A03862) (GU Serie Generale n.152 del 01-07-2022)

IL MINISTRO DELL'ECONOMIA
E DELLE FINANZE

Visto l'art. 1, comma 683, della legge 27 dicembre 2019, n. 160,
(legge di bilancio per l'anno 2020) il quale prevede che, nel
rispetto delle disposizioni di cui all'art. 2-undecies, comma 3, del
codice di cui al decreto legislativo 30 giugno 2003, n. 196, nonchè
dell'art. 23, paragrafo 1, del regolamento (UE) 2016/679 del
Parlamento europeo e del Consiglio del 27 aprile 2016, considerati i
principi di necessità e di proporzionalità, limitatamente al
trattamento dei dati contenuti nell'archivio dei rapporti finanziari
di cui al comma 682 del medesimo art. 1, con decreto del Ministro
dell'economia e delle finanze, sentiti il Garante per la protezione
dei dati personali e l'Agenzia delle entrate, siano definite: a) le
specifiche limitazioni e le modalità di esercizio dei diritti di cui
agli articoli 14, 15, 17, 18 e 21 del regolamento (UE) 2016/679, in
modo da assicurare che tale esercizio non possa arrecare un
pregiudizio effettivo e concreto all'obiettivo di interesse pubblico;
b) le disposizioni specifiche relative al contenuto minimo essenziale
di cui all'art. 23, paragrafo 2, del regolamento (UE) 2016/679; c) le
misure adeguate a tutela dei diritti e delle libertà degli
interessati;
Visto l'art. 1, comma 682, della legge 27 dicembre 2019, n. 160, il
quale prevede che per le attività di analisi del rischio di cui
all'art. 11, comma 4, del decreto-legge 6 dicembre 2011, n. 201,
convertito, con modificazioni, dalla legge 22 dicembre 2011, n. 214,
con riferimento all'utilizzo dei dati contenuti nell'archivio dei
rapporti finanziari, di cui all'art. 7, sesto comma, del decreto del
Presidente della Repubblica 29 settembre 1973, n. 605, e all'art. 11,
comma 2, del decreto-legge 6 dicembre 2011, n. 201, convertito, con
modificazioni, dalla legge 22 dicembre 2011, n. 214, l'Agenzia delle
entrate, anche previa pseudonimizzazione dei dati personali, si
avvale delle tecnologie, delle elaborazioni e delle interconnessioni
con le altre banche dati di cui dispone, allo scopo di individuare i
criteri di rischio utili per far emergere le posizioni da sottoporre
a controllo e incentivare l'adempimento spontaneo;
Visto l'art. 1, comma 686, della legge 27 dicembre 2019, n. 160, il
quale prevede che, per le stesse finalità di cui al comma 682, la
Guardia di finanza utilizza i dati contenuti nell'Archivio dei
rapporti finanziari con le medesime modalità disciplinate dai commi
da 681 a 685, avvalendosi delle tecnologie, delle elaborazioni e
delle interconnessioni con le altre banche dati di cui è titolare;
Visto l'art. 7, sesto comma, del decreto del Presidente della
Repubblica 29 settembre 1973, n. 605;
Visto l'art. 11, comma 2, del decreto-legge 6 dicembre 2011, n.
201, convertito, con modificazioni, dalla legge 22 dicembre 2011, n.
214;
Visto l'art. 11, comma 4, del decreto-legge 6 dicembre 2011, n.
201, convertito, con modificazioni, dalla legge 22 dicembre 2011, n.
214;
Visto il regolamento (UE) 2016/679 del Parlamento europeo e del
Consiglio del 27 aprile 2016, che disciplina la protezione delle
persone fisiche con riguardo al trattamento dei dati personali,
nonchè la libera circolazione di tali dati e abroga la direttiva
95/46/CE (regolamento generale sulla protezione dei dati), ed in
particolare, gli articoli 14, 15, 17, 18, 21 e 23, paragrafo 2;
Visto l'art. 2-undecies, comma 1, lettera f-bis) e comma 3, del
decreto legislativo 30 giugno 2003, n. 196 (Codice in materia di
protezione dei dati personali), come modificato dall'art. 1, comma
682, della legge 27 dicembre 2019, n. 160, concernente le limitazioni
ai diritti dell'interessato;
Considerata l'esigenza di assicurare che l'obbligo di fornire
all'interessato le informazioni ai sensi dell'art. 14 («Informazioni
da fornire qualora i dati personali non siano stati ottenuti presso
l'interessato»), nonchè l'esercizio dei diritti di cui agli articoli
15 («Diritto di accesso dell'interessato»), 17 («Diritto alla
cancellazione («diritto all'oblio»)»), 18 («Diritto di limitazione di
trattamento») e 21 («Diritto di opposizione») del regolamento (UE) n.
2016/679 non arrechino un pregiudizio effettivo e concreto
all'obiettivo di interesse pubblico di prevenzione e contrasto
all'evasione fiscale;
Considerata la necessità di individuare disposizioni specifiche
relative al contenuto minimo essenziale di cui all'art. 23, paragrafo
2, del regolamento (UE) 2016/679, adottando misure adeguate a tutela
dei diritti e delle libertà degli interessati;
Sentiti il Garante per la protezione dei dati personali e l'Agenzia
delle entrate;

Decreta:

Art. 1

Definizioni

1. Ai fini del presente decreto si intendono per:
a) Agenzia: l'Agenzia delle entrate;
b) Operatori finanziari: le banche, la società Poste italiane
Spa, gli intermediari finanziari, le imprese di investimento, gli
organismi di investimento collettivo del risparmio, le società di
gestione del risparmio, nonchè ogni altro soggetto che pone in
essere rapporti a contenuto finanziario tenuto agli obblighi di cui
all'art. 7, sesto comma, del decreto del Presidente della Repubblica
29 settembre 1973, n. 605 e di cui all'art. 11, commi 2 e 4, del
decreto-legge 6 dicembre 2011, n. 201, convertito, con modificazioni,
dalla legge 22 dicembre 2011, n. 214;
c) Anagrafe tributaria: l'archivio di cui al decreto del
Presidente della Repubblica 29 settembre 1973, n. 605, che raccoglie
e ordina su scala nazionale i dati e le notizie risultanti dalle
dichiarazioni e dalle denunce presentate agli uffici
dell'amministrazione finanziaria e dai relativi accertamenti, nonchè
i dati e le notizie che possono comunque assumere rilevanza ai fini
tributari;
d) Archivio dei rapporti finanziari: l'apposita sezione
dell'Anagrafe tributaria di cui all'art. 7, sesto comma, del decreto
del Presidente della Repubblica 29 settembre 1973, n. 605, in cui
sono archiviati i dati anagrafici dei titolari e dei soggetti che
intrattengono con gli operatori finanziari qualsiasi rapporto o
effettuano operazioni al di fuori di un rapporto continuativo per
conto proprio ovvero per conto o a nome di terzi, compreso il codice
fiscale, nonchè, ai sensi dell'art. 11, commi 2 e 3, del
decreto-legge 6 dicembre 2011, n. 211, i totali di dare e avere delle
movimentazioni che hanno interessato i rapporti di cui all'art. 7,
sesto comma, del decreto del Presidente della Repubblica 29 settembre
1973, n. 605, e ogni informazione relativa ai predetti rapporti
necessaria ai fini dei controlli fiscali, ivi inclusi il saldo
iniziale e finale ed il valore medio di giacenza annuo di depositi e
conti correnti bancari e postali;
e) Dato personale: ai sensi dell'art. 4, paragrafo 1, n. 1, del
regolamento (UE) n. 2016/679, qualsiasi informazione riguardante una
persona fisica identificata o identificabile, direttamente o
indirettamente;
f) Dataset di analisi: insieme dei dati selezionati ai fini di
cui all'art. 1, commi da 682 a 686, della legge 27 dicembre 2019, n.
160, per verificare, applicando tecniche e modelli di analisi
coerenti con i criteri di rischio prescelti, la presenza di rischi
fiscali;
g) Dataset di controllo: insieme delle posizioni fiscali dei
contribuenti, caratterizzate dalla ricorrenza di uno o più rischi
fiscali, nei confronti dei quali potranno essere avviate le attività
di controllo ovvero le attività volte a stimolare l'adempimento
spontaneo;
h) Rischio fiscale: il rischio di comportamenti attuati in
violazione di norme di natura tributaria ovvero in contrasto con i
principi o con le finalità dell'ordinamento tributario;
i) Indicatore di rischio desunto o derivato: risultato di un
processo di profilazione finalizzato a ottenere ulteriori
caratterizzazioni dei contribuenti presenti nel dataset di controllo,
utilizzato esclusivamente nell'ambito del trattamento di cui all'art.
1, commi da 682 a 686, della legge 27 dicembre 2019, n. 160;
j) Interessato: ai sensi dell'art. 4, paragrafo 1, n. 1, del
regolamento (UE) n. 2016/679, la persona fisica identificata o
identificabile cui si riferiscono i dati oggetto di trattamento;
k) Trattamento: ai sensi dell'art. 4, paragrafo 1, n. 2), del
regolamento (UE) n. 2016/679, qualsiasi operazione o insieme di
operazioni, compiute con o senza l'ausilio di processi automatizzati
e applicate a dati personali o insiemi di dati personali;
l) Pseudonimizzazione: ai sensi dell'art. 4, paragrafo 1, n. 5,
del regolamento (UE) n. 2016/679, il trattamento effettuato in modo
tale che i dati personali non possano più essere attribuiti a un
interessato specifico senza l'utilizzo di informazioni aggiuntive, a
condizione che tali informazioni aggiuntive siano conservate
separatamente e soggette a misure tecniche e organizzative intese a
garantire che tali dati personali non siano attribuiti a una persona
fisica identificata o identificabile;
m) Titolari del trattamento: l'Agenzia delle entrate e la Guardia
di finanza;
n) Banche dati: gli archivi dei dati nella disponibilità
dell'Agenzia delle entrate e quelli di cui è titolare la Guardia di
finanza, richiamati, rispettivamente, dall'art. 1, comma 682 e comma
686, della legge 27 dicembre 2019, n. 160;
o) Dati: i dati presenti nell'archivio dei rapporti finanziari e
nelle altre banche dati richiamate dall'art. 1, commi 682 e 686,
della legge 27 dicembre 2019, n. 160;
p) Regolamento: il regolamento (UE) 2016/679 del Parlamento
europeo e del Consiglio del 27 aprile 2016.

Art. 2

Ambito di applicazione

1. Il presente decreto individua, ai sensi dell'art. 1, comma 683,
della legge 27 dicembre 2019, n. 160:
a) le disposizioni specifiche relative al contenuto minimo
essenziale di cui all'art. 23, paragrafo 2, del regolamento;
b) le limitazioni relative alla portata degli obblighi e dei
diritti di cui agli articoli 15, 17, 18 e 21 del regolamento, nonchè
le relative modalità di esercizio, nel rispetto dei diritti e delle
libertà fondamentali degli interessati;
c) le misure adeguate a tutela dei diritti e delle libertà degli
interessati, incluse le misure di sicurezza, i controlli sulla
qualità dei dati e sulle elaborazioni logiche utilizzate, nonchè le
misure volte a ridurre il rischio di erronea rappresentazione della
capacità contributiva.

Art. 3

Disposizioni specifiche relative al trattamento

1. Le limitazioni della portata degli obblighi e dei diritti di cui
agli articoli 15, 17, 18 e 21 del regolamento sono disciplinate dal
presente decreto nel rispetto dei limiti di cui all'art. 23,
paragrafo 1, del regolamento medesimo, per il perseguimento delle
finalità di prevenzione e contrasto all'evasione e all'elusione
fiscale, tramite l'individuazione dei criteri di rischio utili a far
emergere posizioni da sottoporre a controllo da parte dell'Agenzia e
della Guardia di finanza, e per incentivare l'adempimento spontaneo.
2. Per le finalità di cui al comma 1 sono trattati dati personali
comuni, contenuti nelle banche dati, relativi all'identità
anagrafica ed alla capacità economica, tra cui dati riguardanti le
dichiarazioni fiscali, il patrimonio mobiliare e immobiliare, dati
contabili e finanziari, dati dei pagamenti, dei versamenti e delle
compensazioni, nonchè i dati di profilazione relativi agli eventuali
indicatori di rischio desunti o derivati attribuiti ai soggetti; non
sono oggetto di trattamento nei dataset i dati di cui all'art. 9 del
regolamento.
3. I dataset sono conservati fino al secondo anno successivo a
quello in cui matura la decadenza della potestà impositiva e,
comunque, fino alla definizione di eventuali giudizi. Nel corso dei
due anni successivi a quello in cui matura la decadenza della
potestà impositiva l'Agenzia e la Guardia di finanza adottano misure
di garanzia adeguate ad escludere il trattamento dei dati contenuti
nei dataset per finalità diverse dall'esercizio del diritto di
accesso.
4. Decorsi i periodi di conservazione di cui al comma 3, i dataset
vengono cancellati, ferma restando la conservazione dei dati
contenuti nelle banche dati dell'Agenzia secondo i criteri di
conservazione stabiliti in relazione alle finalità per le quali
ciascun dato è stato raccolto.

Art. 4

Limitazioni agli obblighi e ai diritti di cui agli articoli 15, 17,
18 e 21 del regolamento (UE) 2016/679

1. In relazione alle attività di analisi del rischio di cui
all'art. 1, comma 682, della legge 27 dicembre 2019, n. 160, le
limitazioni della portata degli obblighi e dei diritti di cui agli
articoli 15, 18 e 21 del regolamento sono disciplinate ai sensi del
presente articolo, per il tempo e nei limiti in cui ciò costituisca
una misura necessaria e proporzionata in una società democratica,
tenuto conto dei diritti fondamentali e dei legittimi interessi
dell'interessato, in modo da assicurare che tale esercizio non
arrechi un pregiudizio effettivo e concreto all'obiettivo di
interesse pubblico perseguito.
2. Ai fini di cui al comma 1:
a) il diritto di accesso, previsto dall'art. 15, paragrafo 1,
lettere a), b), c), e) e g) del regolamento, ivi incluso il diritto
di ottenere dal titolare del trattamento la conferma che sia o meno
in corso un trattamento, può essere esercitato:
1) per i contribuenti destinatari delle attività di stimolo
all'adempimento spontaneo, a decorrere dal momento di ricezione degli
inviti alla regolarizzazione della posizione fiscale;
2) per i contribuenti destinatari delle attività di controllo,
a decorrere dalla data di consegna del processo verbale di
constatazione, ovvero dalla notifica dell'atto istruttorio o del
provvedimento impositivo;
3) per i contribuenti non destinatari delle attività di
stimolo all'adempimento spontaneo e delle attività di controllo, a
decorrere dal primo giorno successivo a quello in cui matura la
decadenza della potestà impositiva;
b) è escluso l'esercizio del diritto, previsto dall'art. 18,
paragrafo 1, lettere a) e d) del regolamento, di ottenere la
limitazione del trattamento;
c) è escluso l'esercizio del diritto, previsto dall'art. 21 del
regolamento, di opporsi al trattamento.
3. Ai sensi dell'art. 2-undecies, comma 3, del decreto legislativo
30 giugno 2003, n. 196, nei casi di cui al comma 1, laddove ne
ricorrano le condizioni, i diritti dell'interessato possono essere
esercitati tramite il Garante per la protezione dei dati personali,
con le modalità di cui all'art. 160 dello stesso decreto legislativo
30 giugno 2003, n. 196.
4. Ai sensi dell'art. 23, paragrafo 2, lettera h), del regolamento
sui siti internet dell'Agenzia delle entrate e della Guardia di
finanza è pubblicata un'informativa generale sulle limitazioni
contemplate dal presente decreto per le finalità di cui all'art. 1,
comma 682, della legge 27 dicembre 2019, n. 160.
5. Ai sensi dell'art. 17, paragrafo 3, lettera b) del regolamento,
non si applica il diritto alla cancellazione di cui al medesimo
articolo, essendo il trattamento effettuato nell'esercizio dei
pubblici poteri di cui è investito il titolare del trattamento.
6. Fermo restando quanto previsto dai commi precedenti, resta salvo
l'esercizio dei diritti dell'interessato in relazione ai dati
presenti nelle banche dati dell'Agenzia sulla base delle disposizioni
e in coerenza con le finalità per le quali ciascun dato è stato
raccolto.
7. Resta altresì fermo il diritto dell'interessato di ottenere la
rettifica dei dati personali inesatti, in conformità alla disciplina
che regola la raccolta di ciascun dato.

Art. 5

Misure a tutela dei diritti e delle libertà degli interessati

1. L'Agenzia e la Guardia di finanza, in qualità di titolari del
trattamento, trattano esclusivamente i dati personali indispensabili
ed effettuano le operazioni di trattamento strettamente necessarie al
raggiungimento delle finalità di cui all'art. 1, comma 682, della
legge 27 dicembre 2019, n. 160, nel rispetto dei principi di cui
all'art. 5 del regolamento.
2. L'Agenzia e la Guardia di finanza adottano tutte le misure
necessarie per escludere i dati personali inesatti o non aggiornati
dai trattamenti conseguenti all'analisi del rischio fiscale.
3. L'Agenzia e la Guardia di finanza interconnettono le
informazioni contenute nell'Archivio dei rapporti finanziari con le
altre banche dati a loro disposizione avvalendosi di opportune
tecnologie informatiche e applicando le metodologie più appropriate.
4. A tutela dei diritti e delle libertà degli interessati,
l'Agenzia e la Guardia di finanza adottano le misure di sicurezza
tecniche e organizzative idonee a garantire la riservatezza,
l'integrità, la disponibilità dei dati e la sicurezza dei sistemi,
nonchè quelle necessarie ad assicurare che i dati utilizzati siano
attuali, coerenti, completi, tracciabili e ripristinabili, nel
rispetto di quanto previsto dall'art. 32 del regolamento.
5. In particolare, l'Agenzia, anche per rafforzare le garanzie
connesse al trattamento dei dati personali, effettua le elaborazioni
finalizzate a far emergere le posizioni da sottoporre a controllo su
dati preventivamente pseudonimizzati, attraverso metodi di
sostituzione o modifica delle informazioni anagrafiche ovvero tramite
perturbazioni delle variabili, al fine di impedire, in presenza di
dati finanziari, l'identificazione diretta degli interessati.
L'affidabilità e l'accuratezza del modello di analisi e dei criteri
di rischio utilizzati sono testati per fare in modo che all'esito
delle analisi siano limitati i rischi di ingerenze nei confronti dei
contribuenti che non presentano un rischio fiscale significativo e,
comunque, siano limitati i rischi di erronea rappresentazione della
capacità contributiva. Negli atti e nei provvedimenti indirizzati ai
contribuenti vengono sempre illustrati il rischio fiscale
identificato e i dati che sono stati utilizzati per la sua
individuazione. Nel processo di formazione dei dataset di analisi e
controllo è sempre garantito l'intervento umano. Gli indicatori di
rischio desunti o derivati non vengono memorizzati in archivi o basi
dati diversi dai data set di analisi e controllo e non sono
utilizzati per finalità diverse dall'analisi del rischio di cui
all'art. 1, commi da 682 a 686, della legge 27 dicembre 2019, n. 160.
6. L'Agenzia delle entrate e la Guardia di finanza, a tutela dei
soggetti minori di età, garantiscono la cancellazione dei loro dati
identificativi prima della definizione del dataset di controllo. Le
attività istruttorie, nonchè quelle di stimolo all'adempimento
spontaneo, saranno in ogni caso condotte esclusivamente nei confronti
dei soggetti che esercitano le funzioni di rappresentanza legale.
7. Al fine di ridurre i rischi di accessi non autorizzati o non
conformi alle finalità di trattamento, l'accesso agli strumenti
informatici di trattamento è consentito ai soli soggetti
specificatamente autorizzati, ai sensi dell'art. 29 del regolamento e
dell'art. 2-quaterdecies del decreto legislativo 30 giugno 2003, n.
196, deputati a svolgere le attività di misurazione della qualità
dei dati e di analisi del rischio fiscale.
8. Il personale specificatamente autorizzato dal Titolare o dal
Responsabile verifica, tramite controlli puntuali condotti su
campioni rappresentativi della platea di riferimento, la corretta
applicazione del modello di analisi e la coerenza degli esiti delle
elaborazioni svolte in attuazione della metodologia adottata. I
predetti controlli sono effettuati dagli operatori sia
preliminarmente all'inserimento dei dati nelle liste di controllo,
per le finalità di verifica della corretta applicazione della
metodologia e del modello di analisi adottati, sia successivamente
per riscontrare l'accuratezza e la proficuità dei risultati degli
incroci effettuati in attuazione del modello di analisi e del
criterio di rischio fiscale utilizzati.
9. Al fine di impedire che si verifichino trattamenti illeciti o
violazioni dei dati personali ai sensi dell'art. 4, paragrafo 1, n.
12, del regolamento, l'Agenzia procede al controllo degli accessi ai
dati e alle informazioni presenti nelle banche dati tramite misure
idonee a verificare, anche a posteriori, le operazioni eseguite da
ciascun soggetto autorizzato.
10. Ai fini di cui al presente articolo, l'Agenzia e la Guardia di
finanza effettuano le valutazioni di impatto di cui all'art. 35 del
regolamento, procedendo periodicamente al relativo aggiornamento e al
loro riesame, sentito il Garante per la protezione dei dati
personali, quando insorgono variazioni del rischio rappresentato
dalle attività relative al trattamento.
11. Le disposizioni di cui ai commi 5, 7, 8 e 9 si applicano anche
alla Guardia di finanza.

Art. 6

Accordo operativo tra Agenzia delle entrate e Guardia di finanza per
l'analisi del rischio di evasione

1. Per le finalità di cui all'art. 1, comma 686, della legge 27
dicembre 2019, n. 160, i dati contenuti nell'archivio dei rapporti
finanziari sono resi disponibili dall'Agenzia alla Guardia di
finanza, che li utilizza avvalendosi delle tecnologie, delle
elaborazioni e delle interconnessioni con le altre banche dati di cui
è titolare, nell'ambito di un accordo convenzionale che disciplini i
termini, le modalità di accesso a tale archivio, individuando le
misure di sicurezza previste a tutela dei diritti e delle libertà
degli interessati.
Il presente decreto sarà pubblicato nella Gazzetta Ufficiale della
Repubblica italiana.
Roma, 28 giugno 2022

Il Ministro: Franco